常連

###実現したいこと
PC-1からForigate50Eのwan1まで通信できるようにしたい。
![イメージ説明](fac2ff9b7e13a86ab7f2493b3b4cbb31.png)

###設定内容
PC-1
![イメージ説明](ec3f6b91341e88308db6efd6c8ea471d.png)
![イメージ説明](c4d9af66eeca682962c8b4c78292fdf9.png)
Router
```
Router#show run
Building configuration...

Current configuration : 1976 bytes
!
! Last configuration change at 10:18:02 UTC Sun Mar 24 2019
!
version 15.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Router
!
boot-start-marker
boot-end-marker
!
!
enable password admin
!
no aaa new-model
!
!
ip domain name test.com
ip cef
no ipv6 cef
!
!
multilink bundle-name authenticated
!
!
cts logging verbose
license udi pid C891FJ-K9 sn FGL2005201E
!
!
username admin password 0 admin
!
!
interface BRI0
 no ip address
 encapsulation hdlc
 shutdown
 isdn termination multidrop
!
interface FastEthernet0
 no ip address
 shutdown
 duplex auto
 speed auto
!
interface GigabitEthernet0
 switchport access vlan 312
 no ip address
!
interface GigabitEthernet1
 no ip address
!
interface GigabitEthernet2
 no ip address
!
interface GigabitEthernet3
 no ip address
!
interface GigabitEthernet4
 no ip address
!
interface GigabitEthernet5
 no ip address
!
interface GigabitEthernet6
 no ip address
!
interface GigabitEthernet7
 switchport access vlan 10
 no ip address
!
interface GigabitEthernet8
 no ip address
 shutdown
 duplex auto
 speed auto
!
interface Vlan1
 no ip address
!
interface Vlan10
 ip address 192.168.1.50 255.255.255.0
!
interface Vlan312
 ip address 172.19.21.60 255.255.255.224
!
interface Async3
 no ip address
 encapsulation slip
!
ip forward-protocol nd
no ip http server
no ip http secure-server
!
!
ip ssh version 2
!
!
control-plane
!
!
mgcp behavior rsip-range tgcp-only
mgcp behavior comedia-role none
mgcp behavior comedia-check-media-src disable
mgcp behavior comedia-sdp-force disable
!
mgcp profile default
!
!
line con 0
 no modem enable
line aux 0
line 3
 modem InOut
 speed 115200
 flowcontrol hardware
line vty 0 4
 exec-timeout 0 0
 login local
 transport input ssh
line vty 5 15
 exec-timeout 0 0
 login local
 transport input ssh
!
scheduler allocate 20000 1000
!
!
!
end
```


Fortigate50E
![イメージ説明](235f68232bccf809c78697ea44697ddc.png)
![イメージ説明](ff1eb7a0de1622e8e0ab69566de5055c.png)

###疎通結果
![イメージ説明](8d6db162e6c480250d63f331a0bfa87c.png)
![イメージ説明](ff2deb4fa674365539f963cabfd12260.png)

上記の通り、PC-1からRouterのGE0まではパケットが届きますが、FWまでは届きません。
また、画像は載せておりませんが、fortigateからRouterへは疎通でき、PC-1へは(192.168.1/0/24のセグメントへは)疎通できません。

###試したこと
以下の2パターンでパケットキャプチャした結果、PC-1からのicmpに対してFWからreplyが返ってきていません。
・Router→FW
![イメージ説明](91b0b9f78f80af33b36f8a2906d08d8d.png)
・PC-1→FW
![イメージ説明](096743fda848a6026597ede5d04bb7cb.png)
###
現在の設定で通信できない原因が全く見当もつきません。
何回もFortigateの設定を確認しましたし、再起動しても結果は変わりませんでした。
もはやFortigate50Eの故障を疑っています。
どなたかFortigateについてご存知の方、私に教えていただけませんでしょうか。
既に心は折れていますが、解決しなければならない状況です。

以上、よろしくお願いいたします。(>_<)

###追記
![イメージ説明](9ed7b8d6baba1125922f3eda3757bd58.png)

【Fortigate】ポリシーとルーティング設定しても通信できない

###実現したいこと
teratermマクロでログを保存したい。

###現状
マクロは正常に動いている。
マクロ実行中にログダイアログは表示される。
ダイアログに表示されているパスは指定したパスと同様。
マクロ終了後、C:\Program Files (x86)\teraterm\にログは存在しない。
原因不明。

###コンフィグ
```
username = 'admin'
hostname = '192.168.1.254'
password = 'admin'
PWD = 'admin'

msg = hostname
strconcat msg ':22 /ssh /auth=password /user='
strconcat msg username
strconcat msg ' /passwd='
strconcat msg password
connect msg

getdir DIR
changedir DIR

logopen 'C:\Program Files (x86)\teraterm\20190528_show_run.log' 0 0

wait '>'
pause 2
sendln 'en'
wait 'Password'
pause 2
sendln PWD
wait '#'
pause 2
sendln 'ter len 0'
wait '#'
pause 2
sendln 'show run'
wait '#'
pause 2
sendln 'show version'
wait '#'
pause 2
sendln 'show clock'
wait '#'
sendln 'show interface status'
pause 5
sendln ''
wait '#'
sendln 'exit'

logclose

end
```

###その他設定
teratermの設定で「自動的にログ採取を開始する(U)」のチェックボックスは外している。

###
何か間違っているのでしょうか。それとも、何か設定漏れがあるのでしょうか。
なぞです(._.)

以上、よろしくお願いいたします。

teratermマクロのログが保存されない

### 前提

ある事務所で、時間により極端にネットワークが遅くなる事があります。
簡単な下記の状態で、ネットワーク遅延が発生時、
AやBテーブルのHUBは、平均下り上りとも150Mbps正常にネットワーク速度が出ますが、CとDテーブルだけがある特定の時間になると10MBbps程度しか出なくなります。

（例）
ONUールーターから集約SWで各島のテーブルにLANケーブルをひいいています。
集約SW各ポートPort1　－　AテーブルHUB　※座っている人：4人
集約SW各ポートPort2　－　BテーブルHUB　※座っている人：2人
集約SW各ポートPort3　－　CテーブルHUB　※座っている人：6人
集約SW各ポートPort4　－　DテーブルHUB　※座っている人：7人

確かにCとDテーブルに座っている人が少し多いのでボトルネックになり、
一斉にインターネットへアクセスすると速度が遅くなるとは考えれます。
各テーブルHUBについては、最近入れ替えた新しいGiga HUBです。
またLANケーブルも一掃し、Cate6を使用しています。
また集約SWの各ポートが故障しデグっているというのは考えにくいですがSWの状態は気になるところです。

### 実現したいこと

CとDのテーブルはなぜ特定の時間にネットワークが遅くなるのか原因を突き止めたいです。


### 発生している問題・エラーメッセージ

発生している問題は現在のところ不明であり、エラーメッセージは拾えていません。


### 教えていただきたいこと

こちらを調査したいと思い、Wiresharkを使って調査したいのですが
何が原因で突き止めてれば良いのか現段階では何をキーにして確認するのか判断がつきません。
何かある特定の人が無駄なパケットを使っているのか、基本となりますが
物理的には問題は無さそうなのでパケット分析をしたいです。

お手数をお掛けしますが、Wiresharkの基本になりますが
フィルターをこうかければ切り分けができる。など使い方及び、考えられる原因を
ご教授下さい。　よろしくお願いいたします。

ネットワークキャプチャで回線が遅い状態を調査し特定するには

現在、社内LANに新しく購入したファイルサーバー(NAS)を設置しました。
このファイルサーバは社内LANからだと、ローカルアドレスでファイル共有できます。
(smb://ローカルIPアドレス)


しかし、社外(WAN側)からこのファイルサーバーにアクセスさせるためには、どの方法を選べばいいのか分かりません。というのも、社外からアクセスするのは外注先の企業なので、LAN内のリソースに関しては、ファイルサーバーのみにアクセスさせたいからです。

方法としては、3つ候補にあがりました。

1. グローバルIPアドレスをファイルサーバーに設定し、社外からは「smb://グローバルIPアドレス」でアクセスさせる

2. NASでWebDAVサーバーを動かし、社外からは「https://グローバルIPアドレス」でアクセスさせる。

3. VPNサーバーをルーターあるいはNASで動作させ、社外からはVPN接続した後に「smb://ローカルアドレス」でアクセスさせる。


1.の方法は、セキュリティ上よくないと聞きました。
2.の方法は、社内で用いるSMBプロトコルと違うので同時編集してしまう恐れがあるということと、WebDAVという方法があまり使われていないため、少し不安です。
3.の方法は、社外からのファイル共有が遅くなる恐れがあるということと、LAN内の全てのリソースが社外からアクセスされる恐れがあります。(社外からアクセスする人は外注先の企業のため)



2.の方法が現実的なのかなと思いますが、VPNのことは良くわからないのですが、ファイルサーバーのみにアクセスさせることができれば、3.の方法がいいと考えています。他にもいいアイデアがあれば教えていただきたいです。ご教授よろしくお願いします。

ちなみに、社外からのアクセスはルーターのパケットフィルタリング設定やNATの設定を経て行います。

LAN内のファイルサーバー(NAS)に外部から安全にファイル共有する方法について

ネットワークスペシャリストの勉強をしている、ネットワーク未経験の者です。

H27年秋 午後1 について以下の様な記載があるのですが、

> SSOサーバは、自IPアドレスと異なるVIPアドレス宛のパケットを受信しなければならない。
> そこで、VIPアドレスを付与した(オ)インターフェイスをSSOサーバに設定することにした。

オ：ループバックインターフェイス

自IPアドレスとは異なるIPをループバックインターフェイスを通すと受信出来る理由が全く理解できません

実際にPCでやってみようと思うのですが、仕組みが全く理解できないためやる事ができません。
なぜ、全然関係ないIPアドレスがループバックインターフェイスを経由させると、受信できるようになるのでしょうか？

ループバックインターフェイスと仮想IPについて

###エンジニアの意見が聞きたいです☺
私の見解ですが、大企業や零細企業などネットワークシステムの大小に関わらず、業務用と管理用でセグメントを分けた方がいいと考えております。
なぜなら、障害発生時の切り分けや普段の運用の際に分かりやすいというメリットを感じるからです。
また、セグメントを分けないことによるメリットを感じないからです。
皆様は、掲題の件について、どのように考えますか。

また、掲題とは少し内容が変わってしまいますが、社内にNTPやDNS、監視サーバ(syslog,snmp)を立てないケースってあるんでしょうか。
そのようなケースがあるのであれば、そもそも管理用セグメントは不要だと思います。
しかし、個人的にはDNSならまだしも、NTPや監視サーバを用意しない理由が分かりません。

以下のケースについてどのように対応されますか。(※④は理想のケースなので除く)
![イメージ説明](7663665994899c876e820f587e0435db.png)

因みに私は以下の回答になります。
①管理サーバを用意し、管理セグメントを使った設計を提案する。
②管理セグメントを作成し、管理サーバの通信をそのセグメントを使うよう提案する。
③何のための管理セグメントなのか私にはわからないため削除する方向で話進める。


ネットワークエンジニアやインフラエンジニアの皆様と考えを共有できればいいと思い、質問させていただきました☺
もし、そもそもの議題として、おかしな点や私の認識間違いなどありましたら、それも踏まえてご指摘いただけますと幸いです。

以上、ご回答お待ちしております。

###追記
業務セグメントでは全ての機器にログインできる設計にせず、管理セグメントではエンジニアが運用の際にリモートで社内ネットワークの全機器にログインできるような設計にするといいかなと思っております。

業務用と管理用でセグメントを分ける理由

###実現したいこと
PC-2からRouterとFirewallへsshログインできるようにしたい。

![イメージ説明](8f96f19f77561248e0205e341a9e5bf7.png)

###現状
・PC-2からFirewall2とRouter2へはログインできるが、RouterとFirewallにはsshログインできない。
・PC-1からPC-2へリモートデスクトップ接続はできる。
・VPNの設定はRouterとRouter2で実装しているが、フェーズ2が確立されていない。
・RouterはPPPoEでインターネットへ接続しているが、Router2はPPPoEではない。

###設定
◆PC-2
デフォゲをFirewall2に向けている。

◆Firewall2
・デフォゲをRouter2に向けている。
・ポリシーを以下の内容で設定している。
送信元：PC-2
宛先：Aセグメント、Bセグメント、RouterのグローバルIP
サービス：ALL

◆Router2
・インターネットへ抜けていく設定はPATを使用している。(送信元Dセグメントから宛先のAセグメントとBセグメントに対してはdenyの設定をいれてVPNへ通信を向けている)
・VPNのACLには送信元Dセグメントから宛先Aセグメント、Bセグメント、RouterのグローバルIPに対してそれぞれpermit設定を入れている。
・Router2にACLのin設定を入れている。今回対象の送信元Dセグメントから宛先Aセグメント、Bセグメント、RouterのグローバルIPに対してそれぞれpermit設定を入れている。
・スタティックルーティングの設定は以下で設定を入れている。
→ip route (Aセグメント) (RouterのグローバルIP)
→ip route (Bセグメント) (RouterのグローバルIP)
・Router2のインターネット側のACL_inでは以下の設定を入れている。
→permit esp (RouterのグローバルIP) (Router2のグローバルIP)
→permit udp (RouterのグローバルIP) (Router2のグローバルIP) eq isakmp

◆Router
・スタティックルートを以下で設定している。
→ip route 0.0.0.0 0.0.0.0 Dialer0
→ip route (Aセグメント) (FirewallのBセグメントIPアドレス)
・インターネット側のACL_inに以下の設定を入れている。
→permit esp (RouterのグローバルIP) (Router2のグローバルIP)
→permit udp (RouterのグローバルIP) (Router2のグローバルIP) eq isakmp
・PPPoEの設定を入れている。

◆Firewall
・デフォゲをRouterのBセグメントIPアドレスに設定を入れている。
・ポリシーを以下の内容で設定している。
送信元：PC-2
宛先：Aセグメント
サービス：ALL

###確認したステータス
・VPNのフェーズ１ではRouter同士のグローバルIPがshow crypt isakmp saで表示され「QM_IDLE」が表示されている。
・VPNのフェーズ２ではinbound,outboundでのステータスが非表示になっている。
・Router同士でVPNの暗号化方式は一致している。

###
いくら調査しても原因が不明のまま先に進めません????
上記の内容で何か分かる方いらっしゃいましたらアドバイスいただけますと助かります。
また、何かの手がかりになるかもしれませんので、質問などありましたら質問欄に記載していただけますと大変助かります。

以上、ご確認よろしくお願いいたします????

VPNでsshログインするためには

ネットワーク構築時にDMZ上の外部メールサーバと内部セグメント内のメールサーバ二種を設置したとします
WANからのメール受信はDMZ上の外部メールサーバに送信され、キャッシュされた後内部セグメント内のメールサーバへ転送していると理解しました

ここで質問なのですが内部セグメント内にあるPCからWANにある他社メールサーバに送信する際にはどのような通信経路を辿るのでしょうか？

私が考えているのは
PC→内部セグメント内のメールサーバ→DMZ上の外部メールサーバ→WAN→他社外部メールサーバ　の流れです
ネットワーク機器の名称は省いておりますが大まかな流れとしてあっているのでしょうか？